Software · ISO 27001
Um software ISO 27001 deve suportar o sistema de gestão da segurança da informação: as cláusulas 4 a 10, os 93 controlos do Anexo A, os riscos, as evidências e o ciclo anual de auditoria interna e revisão pela gestão. Esta página mostra o que a norma exige, a que deve prestar atenção na escolha de um software de SGSI e como o Sightadel o cobre.
Ponto de partida
A ISO/IEC 27001:2022 exige um sistema de gestão, não um pacote de documentos. As cláusulas 4 a 10 regulam o contexto e o âmbito, a liderança, a avaliação e o tratamento do risco, os recursos e a competência, a operação, a avaliação e a melhoria. O Anexo A contém 93 controlos em quatro temas: 37 organizacionais, 8 relativos a pessoas, 14 físicos e 34 tecnológicos. Para cada controlo, regista na Declaração de Aplicabilidade se se aplica, porquê e até que ponto está implementado.
Um software de SGSI tem de representar esta estrutura e mantê-la coesa: risco, controlo, medida e evidência estão ligados. O auditor verifica se o método de risco é repetível, se as evidências estão atualizadas e se a auditoria interna e a revisão pela gestão foram realizadas. O certificado é válido durante três anos, com duas auditorias de acompanhamento anuais. O software tem, portanto, de suportar sobretudo a operação depois da auditoria inicial.
O que o software não assume são as decisões. O âmbito, os objetivos de segurança da informação, a aceitação do risco, a seleção dos controlos e as funções são definidos pela gestão de topo. Um bom software de SGSI torna esses pontos visíveis e documenta quem decidiu e quando.
Porquê agora
Os clientes ou os concursos exigem o certificado. Precisa de âmbito, método de risco, Declaração de Aplicabilidade e programa de auditoria, por esta ordem.
Depois do certificado, o sistema parou. As evidências têm data, e na auditoria de acompanhamento nota-se o que não é verificado há um ano.
A Declaração de Aplicabilidade, a lista de riscos e a lista de fornecedores estão em ficheiros separados. As ligações entre risco, controlo e comprovativo só existem na cabeça do responsável pela segurança da informação.
A ISO 27001 é a norma que mais se estende a outros normativos. Quem gere o SGSI num software utiliza as mesmas evidências para as obrigações adicionais.
Frameworks relevantes
Resumido por palavras nossas, não constitui aconselhamento jurídico. Prevalece o texto original na versão em vigor.
As cláusulas 4 a 10 e todos os 93 controlos do Anexo A na versão de 2022. O resultado é um certificado de um organismo acreditado, válido durante três anos. Até estar pronto para a auditoria passam tipicamente três a seis meses.
Ver framework →As medidas do § 30 da lei alemã do BSI (BSIG) coincidem em grande parte com o Anexo A. Juntam-se a cadeia de notificação, o registo junto do Serviço Federal Alemão de Segurança da Informação (BSI) e a responsabilidade da administração segundo o § 38.
Ver framework →As medidas técnicas e organizativas do art. 32.º do RGPD podem ser comprovadas com as mesmas evidências que muitos controlos do Anexo A.
Ver framework →Para fornecedores de cloud com clientes do setor público ou de setores regulados. O catálogo de critérios do BSI assenta na ISO 27001; o resultado é um relatório de atestação emitido por um auditor independente (revisor oficial de contas).
Ver framework →Ordem recomendada
Delimitar locais, sistemas e processos, identificar as partes interessadas. As perguntas orientadoras e o modelo setorial propõem delimitações, que confirma ou ajusta.
Registar os ativos, avaliar os riscos com um método fixo, definir o tratamento. Só depois é possível decidir os controlos com sentido.
Responder de forma guiada a todos os 93 controlos. Daí resulta a Declaração de Aplicabilidade, com decisão, fundamentação, estado e responsável por controlo.
Concluir a política, as políticas específicas e os procedimentos, realizar as formações, carregar os comprovativos com data de validade no arquivo de evidências e associá-los aos controlos.
Verificar o sistema uma vez por completo internamente e submetê-lo à avaliação da gestão de topo. Ambas são obrigatórias antes da auditoria de certificação e repetem-se depois todos os anos.
Um auditor independente e acreditado verifica na fase 1 a documentação e na fase 2 a implementação. Trabalha diretamente no Sightadel, com a função «Auditor», sem permissão para apagar.
Escolha
Quase todos os softwares de SGSI listam os 93 controlos. O decisivo é até que ponto mantêm a relação entre risco, controlo e evidência e quanta manutenção custa a operação.
A Declaração de Aplicabilidade deve surgir ao longo do trabalho, não ser mantida como folha de cálculo separada. Verifique se pode ser exportada para o auditor.
Os mesmos dados de entrada têm de conduzir a resultados comparáveis. Os riscos devem estar associados a tratamento, responsável e medidas, e não apenas avaliados.
Um teste de recuperação de há 14 meses já não é comprovativo na auditoria de acompanhamento. Procure data de validade e lembrete antes da expiração.
São os pontos em que os sistemas mostram mais frequentemente fragilidades na auditoria. O software deve geri-los como datas recorrentes com resultado.
O auditor deve poder consultar por si próprio os requisitos, as respostas, os comprovativos e o registo de alterações, comentar e, após aprovação, editar, sem nunca apagar nada. Isto poupa o envio de ficheiros e perguntas adicionais.
Quando se juntam a NIS2, o DORA ou o RGPD, as evidências existentes devem continuar a contar. Pergunte se um comprovativo pode ser associado a controlos de vários frameworks.
Como o Sightadel ajuda
As cláusulas 4 a 10 e cada um dos 93 controlos como pergunta guiada com opções de resposta, explicação e comentário. Daí constrói-se a Declaração de Aplicabilidade, exportável para o auditor.
Saber mais →Modelos setoriais de longa experiência em consultoria e certificação fornecem rascunhos para a política e as políticas específicas. A IA faz sugestões a partir de dados que já registou ou importou. Aceita-as, altera-as ou completa-as.
Saber mais →Comprovativos com versão, data de validade e lembrete antes da expiração. Uma evidência é associada a todos os controlos que comprova, também para além da ISO 27001.
Saber mais →As lacunas da avaliação, as constatações das auditorias internas e as não conformidades da auditoria de certificação tornam-se medidas com responsável e prazo.
Saber mais →Prestadores de serviços com criticidade, questionários e evidências, com lembrete da reavaliação. Isto cobre os controlos relativos a fornecedores do Anexo A.
Saber mais →O Security Score avalia a superfície de ataque visível do exterior dos seus domínios com uma nota de 0 a 100 e lista problemas concretos. Isto fornece material para a gestão de vulnerabilidades segundo o Anexo A.
Saber mais →Esforço e duração
Os intervalos refletem a experiência e não constituem um compromisso. O que mais pesa é a dimensão do âmbito, o ponto de partida e o tempo da pessoa responsável.
O que licencia · tipicamente Professional
Um SGSI com vários participantes de TI, recursos humanos e compras funciona tipicamente com a ISO 27001 na edição Professional. Se se juntarem a NIS2, o RGPD ou o C5, custam permanentemente menos, porque a ISO 27001 já está licenciada.
Licença por framework, duração mínima de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria acrescem à parte.
Perguntas e respostas
Mais nas nossas perguntas frequentes ou diretamente através do nosso formulário de contacto.
A norma não prescreve nenhum software. Exige um sistema controlado e rastreável. Para âmbitos pequenos, isso é possível com documentos e folhas de cálculo. Um software de SGSI compensa assim que várias pessoas colaboram, as evidências expiram e as auditorias de acompanhamento fazem todos os anos as mesmas perguntas.
O Excel guarda listas, mas não ligações. Risco, controlo, medida e evidência ficam então ligados apenas por referências cruzadas, e ninguém vigia os prazos. As folhas de cálculo existentes podem ser importadas para o Sightadel e mantêm assim o seu conteúdo.
O Sightadel é licenciado por framework e edição, anualmente. Os valores atuais estão na página de preços. A isto somam-se os custos do organismo de certificação e, se pretendido, de um consultor. Pode experimentar grátis durante 14 dias, sem dados de pagamento.
Não. O Sightadel guia através dos requisitos. O consultor é escolhido na rede de parceiros na aplicação, ou traz o seu; trabalha com a função Consultant na sua conta. A auditoria de certificação é feita por um organismo independente e acreditado. O Sightadel não certifica e não recebe qualquer comissão.
O âmbito, os objetivos de segurança da informação, a aceitação do risco, a decisão sobre os controlos e as funções. A norma exige estas decisões à gestão de topo. O Sightadel assinala esses pontos e regista quem decidiu e quando.
Surge ao percorrer os 93 controlos: aplicabilidade, fundamentação, estado e responsável por controlo. Os conteúdos são decididos por si. O software junta-os e exporta-os para o auditor.
Sim. Traz o seu próprio organismo de certificação ou escolhe um da rede de parceiros. O auditor recebe uma função própria, sem permissão para apagar, e vê os requisitos, as respostas e os comprovativos no seu contexto.
14 dias, acesso completo, sem dados de pagamento. Tudo o que configurar mantém-se no plano pago.
